Jak działa szyfrowanie VPN

Gdy łączysz się z internetem, Twoje dane przechodzą przez wiele miejsc: router w domu albo hotelu, sieć dostawcy internetu, i kolejne węzły po drodze. Większość stron korzysta dziś z szyfrowanego HTTPS, więc treści haseł czy wiadomości zwykle nie da się po drodze odczytać. Dostawca internetu i administrator sieci Wi-Fi wciąż jednak widzą, z jakimi serwisami się łączysz, a część aplikacji i starszych stron przesyła dane bez szyfrowania.

VPN (Virtual Private Network) tworzy szyfrowany tunel między Twoim urządzeniem a serwerem VPN. Cały ruch przechodzi przez ten tunel, więc po drodze widać tylko, że łączysz się z serwerem VPN – bez treści i bez listy odwiedzanych stron.

W tym artykule wyjaśniamy, jak działa szyfrowanie VPN, jakich algorytmów używają popularne protokoły i przed czym VPN chroni, a przed czym nie.

W skrócie: VPN łączy dwa rodzaje kryptografii. Asymetryczna (RSA, krzywe eliptyczne) potwierdza tożsamość serwera i pozwala bezpiecznie uzgodnić klucze. Symetryczna (AES, ChaCha20) szyfruje same dane. Nowoczesne protokoły – OpenVPN, WireGuard i IKEv2 – często odnawiają klucze i zapewniają PFS, dzięki czemu nawet wykradziony klucz serwera nie pozwala odczytać wcześniejszych połączeń.

Spis treści

1. Co to jest szyfrowanie
2. Jak działa szyfrowanie w VPN – krok po kroku
3. Algorytmy szyfrowania w VPN
4. Protokoły VPN a szyfrowanie
5. Przed czym chroni szyfrowanie VPN, a przed czym nie
6. Czy szyfrowanie spowalnia internet
7. Szyfrowanie a komputery kwantowe
8. Szyfrowanie w Polski-VPN.pl
9. Najczęściej zadawane pytania

Co to jest szyfrowanie

Szyfrowanie to przekształcanie danych w taki sposób, aby bez odpowiedniego klucza były nieczytelne. Klucz to po prostu bardzo długa, losowa liczba – kto jej nie zna, zamiast danych widzi ciąg przypadkowych bajtów.

W VPN używa się dwóch rodzajów szyfrowania:

• Symetryczne – ten sam klucz szyfruje i odszyfrowuje dane. Jest bardzo szybkie, dlatego szyfruje się nim cały ruch w tunelu (AES, ChaCha20).
• Asymetryczne – para kluczy: publiczny i prywatny. Jest wolniejsze, więc służy do potwierdzania tożsamości i uzgadniania kluczy symetrycznych na początku połączenia (RSA, krzywe eliptyczne).

Szyfrowanie w VPN ma trzy cele: ukryć treść przesyłanych danych (poufność), wykryć każdą próbę ich zmiany po drodze (integralność) i upewnić się, że łączysz się z prawdziwym serwerem, a nie z podstawionym (uwierzytelnienie).

Jak działa szyfrowanie w VPN – krok po kroku

1. Nawiązanie połączenia
   Po uruchomieniu aplikacji VPN Twoje urządzenie łączy się z wybranym serwerem dostawcy.
2. Uwierzytelnienie
   Serwer potwierdza swoją tożsamość certyfikatem albo kluczem publicznym zapisanym w Twojej konfiguracji (w OpenVPN to certyfikat urzędu certyfikacji, czyli CA, w pliku .ovpn, w WireGuard – klucz publiczny serwera w pliku .conf). Ty logujesz się loginem i hasłem, certyfikatem albo własnym kluczem. Dzięki temu nikt nie podszyje się pod serwer VPN.
3. Uzgodnienie kluczy sesji
   Urządzenie i serwer wymieniają jednorazowe klucze publiczne (algorytm Diffie-Hellmana, najczęściej w wersji na krzywych eliptycznych) i każda strona sama wylicza ten sam klucz sesji. Sam klucz nigdy nie jest przesyłany przez sieć.
4. Szyfrowanie danych
   Każdy pakiet jest szyfrowany kluczem sesji i opatrzony znacznikiem uwierzytelnienia. Dla osób trzecich wygląda jak ciąg losowych bajtów, a każda zmiana po drodze zostanie wykryta i pakiet odrzucony.
5. Odszyfrowanie na serwerze
   Serwer VPN odszyfrowuje dane i wysyła je dalej do internetu ze swojego adresu IP. Odpowiedzi wracają do Ciebie tą samą drogą, znowu zaszyfrowane.
6. Odnawianie kluczy
   Klucze sesji są regularnie wymieniane na nowe: w WireGuard co 2 minuty (opis protokołu), w OpenVPN domyślnie mniej więcej co godzinę. Nawet gdyby ktoś poznał jeden klucz, odczyta tylko krótki fragment ruchu.

Algorytmy szyfrowania w VPN

1. AES (Advanced Encryption Standard)

• Najpopularniejszy szyfr symetryczny na świecie, standard NIST FIPS 197. W VPN używany jest najczęściej w trybie GCM, który jednocześnie szyfruje dane i sprawdza ich integralność.
• Warianty AES-128 i AES-256 różnią się długością klucza. Oba są dziś uznawane za bezpieczne, a AES-256 daje większy zapas na przyszłość, także wobec komputerów kwantowych.
• Współczesne procesory komputerów i smartfonów mają sprzętowe przyspieszenie AES, więc szyfrowanie nie obciąża ich zauważalnie.

2. ChaCha20-Poly1305

• Nowocześniejsza alternatywa dla AES-GCM opisana w RFC 8439. ChaCha20 szyfruje dane, a Poly1305 sprawdza ich integralność.
• Działa szybko nawet bez sprzętowego przyspieszenia, dlatego dobrze sprawdza się na routerach, przystawkach Android TV i starszych telefonach.
• Używają go m.in. WireGuard, TLS 1.3 i OpenVPN.

3. RSA

• Klasyczny algorytm asymetryczny. W nowoczesnych VPN służy przede wszystkim do podpisywania certyfikatów, czyli potwierdzania tożsamości serwera, a nie do przesyłania kluczy.
• Najnowsza wersja TLS (1.3, na której może opierać się m.in. OpenVPN) całkiem zrezygnowała z wymiany kluczy za pomocą RSA – wszystkie oparte na kluczach publicznych metody wymiany kluczy zapewniają w niej PFS (RFC 8446).
• Spotkasz go z kluczami 2048, 3072 lub 4096 bitów. Coraz częściej zastępują go krótsze i szybsze klucze na krzywych eliptycznych (ECDSA, Ed25519).

4. Krzywe eliptyczne: Curve25519 i ECDH

• Uzgadnianie kluczy metodą Diffie-Hellmana na krzywych eliptycznych (ECDH) daje bezpieczeństwo porównywalne z RSA przy dużo krótszych kluczach i mniejszym nakładzie obliczeń.
• Najpopularniejsza krzywa to Curve25519 (w TLS jako X25519). Korzystają z niej m.in. WireGuard i większość połączeń TLS 1.3.

5. Perfect Forward Secrecy (PFS)

• PFS oznacza, że klucze sesji powstają z jednorazowych kluczy, które po zakończeniu sesji są kasowane.
• Efekt: nawet jeśli ktoś nagra Twój zaszyfrowany ruch, a za kilka lat wykradnie stały klucz prywatny serwera, nie odszyfruje wcześniejszych połączeń.
• PFS zapewniają WireGuard, OpenVPN z TLS 1.3 oraz poprawnie skonfigurowany IKEv2.

Protokoły VPN a szyfrowanie

To, jakie algorytmy chronią Twoje połączenie, zależy od protokołu VPN i ustawień serwera:

Protokół	Szyfrowanie danych	Uwierzytelnienie i klucze	Uwagi
OpenVPN	AES-256-GCM, AES-128-GCM lub ChaCha20-Poly1305	TLS z certyfikatami (RSA lub ECDSA), (EC)DHE	Sprawdzona klasyka, obsługa UDP i TCP
WireGuard	ChaCha20-Poly1305	Curve25519, klucze odnawiane co 2 minuty	Bardzo szybki, tylko UDP
IKEv2/IPsec	Najczęściej AES-GCM	Certyfikaty lub klucz współdzielony, Diffie-Hellman	Wbudowany w Windows, macOS, iOS i Androida
SoftEther	Szyfr wybrany przez serwer, np. AES	Tunel TLS (jak w HTTPS)	Zwykle port TCP 443, działa w rygorystycznych sieciach
SSTP	Szyfr ustalony w TLS	Tunel TLS (HTTPS)	Port TCP 443, natywny w Windows
PPTP, L2TP	PPTP – przestarzałe i słabe; L2TP – bez własnego szyfrowania, tylko z IPsec	–	Microsoft wycofuje je z Windows Server

Lista szyfrów OpenVPN to domyślne ustawienie od wersji 2.6 (dokumentacja OpenVPN). PPTP i L2TP Microsoft uznał za niewystarczające wobec dzisiejszych zagrożeń i zaleca w ich miejsce SSTP lub IKEv2 (Petri). Szczegółowe porównanie protokołów znajdziesz w artykule „Porównanie protokołów VPN: L2TP, WireGuard i OpenVPN”.

Przed czym chroni szyfrowanie VPN, a przed czym nie

VPN chroni:

• W publicznych sieciach Wi-Fi – inni użytkownicy sieci w kawiarni, hotelu czy na lotnisku nie odczytają Twojego ruchu ani nie podsuną Ci fałszywej strony przez podmianę niezaszyfrowanych danych.
• Przed wglądem dostawcy internetu – operator widzi tylko, że łączysz się z serwerem VPN, ile danych przesyłasz i kiedy. Nie widzi natomiast, jakie strony odwiedzasz.
• Twój adres IP – odwiedzane strony widzą adres serwera VPN, a nie Twój. Dzięki temu możesz też korzystać z polskiego adresu IP za granicą.
• Dane firmowe w pracy zdalnej – połączenie z firmową siecią przez szyfrowany tunel chroni poufne informacje.

VPN nie chroni:

• Ruchu za serwerem VPN – między serwerem VPN a stroną dane chroni już tylko HTTPS. Na stronach bez HTTPS nie wpisuj haseł także przez VPN.
• Przed dostawcą VPN – to on widzi, z czym się łączysz. Dlatego wybór zaufanego dostawcy jest tak samo ważny jak sam szyfr.
• Twojej tożsamości – VPN to nie pełna anonimowość. Jeśli logujesz się na konto, akceptujesz pliki cookie czy korzystasz z aplikacji z Twoimi danymi, serwisy nadal wiedzą, kim jesteś.
• Przed wirusami i phishingiem – szyfrowanie nie zatrzyma złośliwego pliku ani fałszywej strony banku. Do tego potrzebujesz aktualnego systemu, antywirusa i ostrożności.
• Przed wyciekami DNS, jeśli jest źle skonfigurowany – gdy zapytania DNS (tłumaczenie nazw stron na adresy IP) omijają tunel, dostawca internetu nadal widzi, jakie domeny odwiedzasz. Dobry VPN kieruje je do własnych serwerów DNS wewnątrz tunelu.

Czy szyfrowanie spowalnia internet

Trochę tak, bo szyfrowanie wymaga mocy obliczeniowej, a każdy pakiet jest nieco większy. W praktyce, przy nowoczesnych protokołach i sprzęcie, samo szyfrowanie rzadko jest wąskim gardłem: procesory mają sprzętowe przyśpieszenie AES, a ChaCha20 jest szybki także bez niego.

Prędkość VPN zależy przede wszystkim od:

• łącza i obciążenia serwera VPN oraz jakości tras między Tobą a serwerem,
• odległości od serwera – to ona decyduje o pingu,
• protokołu i jego implementacji – WireGuard działa w jądrze systemu, a nowsze wersje OpenVPN mogą przenieść szyfrowanie do jądra dzięki modułowi DCO,
• mocy urządzenia – na słabszym routerze czy przystawce TV różnice między protokołami są najbardziej widoczne.

Szyfrowanie a komputery kwantowe

Przyszłe komputery kwantowe mogłyby złamać dzisiejszą kryptografię asymetryczną – RSA i krzywe eliptyczne. Szyfry symetryczne, takie jak AES-256 i ChaCha20, są na takie ataki znacznie odporniejsze. Zagrożeniem jest scenariusz „zbierz teraz, odszyfruj później”, czyli: ktoś nagrywa zaszyfrowany ruch dziś, by odczytać go za kilkanaście lat.

• W sierpniu 2024 roku NIST opublikował pierwszy standard postkwantowej wymiany kluczy – ML-KEM (FIPS 203).
• Według projektu dokumentu NIST IR 8547 w systemach zgodnych ze standardami NIST algorytmy o bezpieczeństwie 112 bitów (np. RSA-2048) mają być niezalecane po 2030 roku, a wszystkie odmiany RSA i kryptografii eliptycznej – niedozwolone po 2035 roku.
• Biblioteka OpenSSL od wersji 3.5 (kwiecień 2025) domyślnie proponuje w TLS 1.3 hybrydową wymianę kluczy X25519MLKEM768, łączącą klasyczną krzywą eliptyczną z algorytmem postkwantowym (informacje o wydaniu).
• WireGuard pozwala dodać do konfiguracji klucz współdzielony (PresharedKey), który autorzy przewidzieli jako dodatkową warstwę ochrony na przyszłość.

Dla większości użytkowników nie jest to dziś powód do niepokoju, ale dobry argument, by korzystać z aktualnych wersji aplikacji VPN.

Szyfrowanie w Polski-VPN.pl

Polski-VPN.pl działa od 2018 roku i stawia na sprawdzone, nowoczesne protokoły:

• OpenVPN – dane dostajesz automatycznie zaraz po zakupie, a połączysz się np. w aplikacji OpenVPN Connect (instrukcja instalacji).
• WireGuard – konfigurację przygotowujemy ręcznie, więc po zakupie poproś o nią na WhatsAppie albo e-mailem.
• SoftEther przez TCP 443 – sprawdza się w sieciach, które blokują inne protokoły VPN. W naszych aplikacjach na Androida, Android TV, Windows i macOS działa bez dodatkowej konfiguracji.
• SSTP – m.in. na iPhone’a i Maca (konfiguracja).

Korzystamy z prywatnych serwerów DNS, które nie powodują wycieków Twoich zapytań. Serwery stoją w Polsce, nie limitujemy transferu, a pomoc po polsku znajdziesz na WhatsAppie 7 dni w tygodniu.

Najczęściej zadawane pytania

Czy VPN szyfruje cały mój ruch?

Tak, cały ruch między Twoim urządzeniem a serwerem VPN, o ile tunel obejmuje wszystkie połączenia. Wyjątkiem jest tzw. split tunneling – wtedy wybrane aplikacje łączą się z pominięciem VPN.

Czy AES-256 jest lepszy od AES-128?

Oba są dziś bezpieczne. AES-256 ma dłuższy klucz i większy zapas bezpieczeństwa na przyszłość, a na nowoczesnym sprzęcie różnica w prędkości jest niewielka.

Czy VPN zapewnia anonimowość?

Nie w pełni. Ukrywa Twój adres IP i treść ruchu przed dostawcą internetu, ale serwisy, na które się logujesz (np. Facebook), nadal wiedzą, kim jesteś.

Jak sprawdzić, czy VPN działa?

Połącz się z VPN i sprawdź swój adres IP, np. na stronie mojeip.io. Jeśli widzisz adres serwera VPN zamiast swojego, tunel działa.